Protocolo Kerberos

4

He leído varios artículos sobre Kerberos y la mayoría de ellos mencionan que el paso final del servidor que responde al cliente es opcional:

  
  1. respuesta del servidor de aplicaciones Kerberos (opcional) (KRB_AP_REP)   Opcionalmente, el cliente puede solicitar que el servidor de destino verifique su propia identidad. Esto se llama autenticación mutua. Si se solicita una autenticación mutua, el servidor de destino tomará la marca de tiempo del equipo cliente del autenticador, la cifrará con la clave de sesión que TGS proporcionó para los mensajes del servidor de destino de cliente y se la enviará al cliente.
  2.   

Me pregunto por qué este paso final es opcional. ¿No es necesario identificar la identidad de los servidores de aplicaciones por motivos de seguridad?

    
pregunta April 13.11.2016 - 02:30
fuente

1 respuesta

2

Un cierto grado limitado de autenticación mutua ocurre inherentemente como parte del proceso de autenticación Kerberos entre el cliente y el servicio de la aplicación. Un servicio no debería poder descifrar el ticket de servicio a menos que tenga la clave asociada con el principal de Kerberos que se supone que es. Si no puede descifrar el ticket de servicio, no debería tener acceso a la información sobre el principal del usuario que necesita para autenticar correctamente y crear una sesión para ese usuario.

Ahora, me imagino que un host malicioso que puede suplantar un servicio legítimo podría pretender que pudo descifrar el ticket de servicio y crear una sesión genérica para cualquier usuario que lo contacte. En algunos casos, como acceder a un sitio web interno en el que todos los empleados tienen permisos, puede que no sea obvio para el usuario que no están autenticados en el contexto adecuado. En otros casos, como el acceso a un recurso compartido de archivos personales, debería ser rápidamente obvio que el servicio no tiene los datos que el usuario esperaba y son falsos.

El proceso de autenticación mutua de Kerberos demuestra al cliente que está hablando con el principio de servicio adecuado, en lugar de suponer si se estableció una sesión que es con un servicio válido.

La razón por la que la autenticación mutua no está activada de manera predeterminada probablemente se deba a la dificultad de que un atacante engañe a un cliente para que piense que un servicio malintencionado es un servicio válido (por ejemplo, a través de la falsificación de DNS), y luego se beneficia de él. este engaño Además, es un pequeño beneficio de rendimiento eliminar el paso de autenticación mutua del proceso de autenticación.

    
respondido por el PwdRsch 13.11.2016 - 05:14
fuente

Lea otras preguntas en las etiquetas